Ferne Ausführung von Code auf dem Meeting Connector-Server über die Netzwerk-Proxy-Konfiguration des Webportals

  • ZSB-21010
  • CVE-2021-34414
  • Mittel
  • 7.2
  • CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Die Netzwerk-Proxy-Seite im Webportal für den Zoom On-Premise Meeting Connector Controller vor Version 4.6.348.20201217, Zoom On-Premise Meeting Connector MMR vor Version 4.6.348.20201217, Zoom On-Premise Recording Connector vor Version 3.8.42.20200905, Zoom On-Premise Virtual Room Connector vor Version 4.4.6620.20201110, Außerdem versäumen es lokale „Zoom Virtual Room Connector Load Balancer“-Instanzen vor Version 2.5.5495.20210326, die in Anfragen zur Aktualisierung der Netzwerk-Proxy-Konfiguration übermittelten Eingaben zu validieren, was dazu führen könnte, dass ein Webportal-Administrator Remote-Befehlsinjektionen auf dem lokalen Image ausführt.

Berichtet von Egor Dimitrenko von Positive Technologies

Revision Date Description
1.0 09/30/2021

Erstveröffentlichung